ItaSec comprende le minacce dinamiche che le aziende devono affrontare oggi. Lavorerò con il tuo personale per sviluppare una soluzione che funzioni.
VALUTAZIONE ESTERNA
La protezione del perimetro della rete è essenziale per garantire che la rete possa resistere ai colpi di malintenzionati. Il test di penetrazione esterna o "hacking da Internet" identifica ciò che gli aggressori dannosi possono trovare, vedere, sfruttare e fino a che punto un utente malintenzionato può penetrare una volta che si è guadagnato un punto d'appoggio nella rete.
VALUTAZIONE INTERNA
I professionisti attenti alla sicurezza, sanno che avere una rete interna rafforzata è importante tanto quanto avere un perimetro rinforzato. Il test di penetrazione interna valuta la sicurezza dal punto di vista di un seeding errato dell'azienda, di un dipendente scontento o di un aggressore che ha violato il perimetro con altri mezzi.
VALUTAZIONE DELLA SICUREZZA WIRELESS
Il Wi-Fi negli ambienti aziendali è diventato sempre più popolare negli ultimi dieci anni. Con controlli di sicurezza Wi-Fi deboli, un utente malintenzionato potrebbe violare il perimetro della tua rete e accedere a dati critici, mettendo la tua azienda in una posizione privilegiata di violazione della sicurezza. Un test di penetrazione wireless identificherà quali meccanismi sono in atto per proteggere la tua rete wireless e identificherà che i controlli attuali sono sufficienti per prevenire l'accesso non autorizzato alla tua rete e ai tuoi dati.
VALUTAZIONE DELLA SICUREZZA ANALOGICA
La valutazione analogica o " War Dial " viene condotta per testare la sicurezza di tutti i dispositivi con una connessione analogica come telefoni e modem. L'intera gamma di numeri di telefono dell'organizzazione viene composta e testata per rilevare vulnerabilità di sicurezza note.
Test di penetrazione.
Un test di penetrazione, o pen test, sta essenzialmente tentando di entrare in una rete, pacchetto software o sistema di controllo come mezzo per valutare il suo potenziale di sicurezza informatica. È un hack etico, fatto per prevenire comportamenti di hacking criminale.
L'attacco è la cura per la difesa. Questo è il mio pensiero.
A meno che un'organizzazione non sia molto consapevole della sicurezza informatica, è generalmente facile per un pentesting security violare un sistema - in genere ci vuole meno di un'ora. Molti fornitori di Pen Testing ne approfittano, testando prima il sistema informatico, e poi segnalando problemi evidenti.
La mia procedura è l'opposto: mi assicuro, che la tua rete o il tuo sistema sia il più sicuro possibile PRIMA di eseguire il pen test. Il risultato di questo è conveniente e porta a un notevole miglioramento della tua posizione di
sicurezza informatica.
Obiettivi di pen test.
ItaSec, ha due decenni di esperienza nell'esecuzione di molti tipi diversi di pen test contro:
Reti di computer
Applicazioni web
Applicazioni mobili
Siti Web e Social Network
Sistemi di posta elettronica
Sistemi SCADA
Reti IoT
Test di penetrazione per stabilire la conformità.
I Pen Test sono spesso un passaggio obbligatorio in un protocollo di conformità.
La mia procedura di test di penetrazione.
Indipendentemente dal tipo di test, i passaggi della mia metodologia di test, sono coerenti con il mio approccio di indurimento prima, test dopo.
Consultazione iniziale.
Inizio stabilendo l'ambito del test di penetrazione e l'architettura di qualunque sistema o software venga testato. Sto cercando informazioni come:
Regolamenti e protocolli di conformità che devono essere rispettati (HIPAA, NIST, PCI, ecc.)
Estensione del test - postazioni coinvolte/indirizzi IP/endpoint, ecc.
Le esigenze delle parti interessate coinvolte nella sperimentazione
Criteri di sicurezza informatica esistenti nell'organizzazione
Architettura della rete/software/sistema SCADA, ecc.
Valutazione della vulnerabilità pre-test.
Con l'ambito del test stabilito, valuto e riferisco sulla tua attuale posizione di sicurezza. Generalmente faccio quanto segue:
Ricerca di punti deboli e problemi eseguendo scansioni di rete e di sistema sia da punti di vista interni (all'interno della rete locale) che esterni (da Internet).
Esamino e valuto i dispositivi di rete, come router, firewall, workstation, ecc. e le risorse di sicurezza del software per tecnologia obsoleta, firmware e software obsoleti, ecc.
Se c'è un aspetto di ingegneria sociale nel test, esamino i protocolli di ingresso/uscita, la consapevolezza della sicurezza informatica organizzativa e altri fattori del mondo reale che potrebbero indicare possibili vettori di attacco.
La mia valutazione pre-test descrive in dettaglio le cose che dovrebbero essere fatte per migliorare la tua posizione di sicurezza PRIMA che si verifichi qualsiasi test. Fornisco raccomandazioni per aggiornamenti e aggiornamenti, modifiche alla politica, qualunque cosa si possa fare per aumentare immediatamente la sicurezza informatica.
Indurimento preliminare.
Io, insieme al tuo personale IT, implementiamo le raccomandazioni sulla sicurezza che ho formulato. Aggiorniamo il software, installiamo software di sicurezza aggiuntivo se necessario e facciamo ciò che può essere fatto alla rete o al sistema nel modo più sicuro possibile. Questo è il passaggio cruciale e sono uno dei pochi fornitori che lo fa. Non rafforzare il sistema di sicurezza prima del collaudo è come controllare le serrature delle porte lasciando le finestre aperte.
Il test di penetrazione.
Eseguo un test di penetrazione in linea con l'ambito di test stabilito. Utilizzo, qualsiasi tipo di attacco o tecnica di violazione disponibile per sconfiggere la tua sicurezza ora aggiornata e compromettere i tuoi sistemi. Questa fase del test può richiedere ore o giorni, a seconda dei requisiti.
Risultati finali post test e reportage.
Al termine del test, fornisco un'analisi dettagliata dei metodi e delle tecniche utilizzate durante il test, i risultati dei vari tentativi di compromissione, nonché una documentazione dettagliata sulla risoluzione di eventuali falle di sicurezza rilevate. Il reportage è scritto in modo chiaro e affronta le specifiche che potrebbero essere richieste per la conformità agli standard.
Tipi di test di penetrazione.
A seconda dell'ambito del test, è possibile eseguire diversi tipi di test. Le differenze in questi test risiedono principalmente nella quantità di informazioni che ho recuperato, prima del test stesso.
Test esterno.
Il test esterno simula un attacco ai server e ai dispositivi di un'azienda target che sono visibili esternamente (visibili da Internet). Questo tipo di test determina se un utente malintenzionato esterno può entrare nella rete e, in tal caso, quanto profondamente può penetrare nel sistema. Un test di penetrazione esterno tenta di penetrare nei server dei nomi di dominio (DNS), nei server Web, nei server di posta elettronica e nel superare i firewall.
Test interni.
I test interni simulano un attacco dall'interno di un'organizzazione, eseguito da un utente autorizzato con un certo livello di privilegio di accesso, come un dipendente arrabbiato o qualcuno che agisce come una "spia aziendale". Questo test viene eseguito all'interno dei confini del firewall, in quanto è utile per determinare la sicurezza della proprietà intellettuale, degli elenchi dei clienti e di altre informazioni aziendali che devono rimanere in sede anche quando un dipendente se ne va.
Test mirati.
Il test mirato, o test "Lights On", è un test di penetrazione in cui mi occupo di lavorare con il personale IT dell'organizzazione e ha una visione completa della rete e di tutti i dispositivi su di essa. Un test mirato non è il mondo reale in natura, ma espone un livello più profondo di difetti del sistema rispetto ai test ciechi o in doppio cieco.
Test alla cieca.
Blind Testing simula un attacco nel mondo reale limitando la quantità di informazioni fornite al team di pen test prima del test. Quindi, il team di test, deve eseguire la ricognizione sul bersaglio e quindi capire i vettori e le metodologie di attacco. I test ciechi sono in genere costosi a causa del tempo e degli sforzi che devono essere spesi per ricercare l'organizzazione da testare.
Test in doppio cieco.
Il test in doppio cieco coinvolge un team di pen test, che tenta di violare un'organizzazione e pochissime persone all'interno dell'organizzazione sono persino consapevoli che è in corso un test di penetrazione. Double-Blind verifica la capacità di un'organizzazione di identificare e rispondere a una minaccia.
Test della scatola nera.
Il test Black Box è un Blind Test applicato all'applicazione software piuttosto che a un sistema.
Test della scatola bianca.
Il test White Box è simile a un test mirato, ma ancora una volta applicato a un'applicazione software. Il team di test di penetrazione ha accesso al codice sorgente e ad altre informazioni relative alla struttura e al funzionamento dell'applicazione.
Cosa viene testato.
L'intera portata di ciò che viene testato è determinata dall'ambito del test, ma generalmente include elementi di queste aree:
Sicurezza della rete
Rilevamento della rete
Scansione delle porte
Identificazione del sistema
Identificazione dei servizi
Ricerca e verifica delle vulnerabilità
Test delle applicazioni e revisione del codice
Test del router
Test del firewall
Test del sistema di rilevamento delle intrusioni
Test di sistemi affidabili
Cracking delle password
Test di negazione del servizio
Test delle misure di contenimento
Informazioni di sicurezza
Rettifica di documenti
Scouting di intelligence competitiva
Revisione della privacy
Ingegneria sociale